Beispielszenario — noch kein Live-Projekt. Exemplarische Darstellung einer typischen Umsetzung.
Ausgangslage
Mit dem Digital Operational Resilience Act (DORA) müssen Finanzunternehmen und ihre IKT-Dienstleister ihre digitale Betriebsstabilität nachweisbar steuern: ein dokumentiertes IKT-Risikomanagement, ein vollständiges Register aller vertraglichen Vereinbarungen mit IKT-Drittdienstleistern (das sogenannte Informationsregister) und eine Klassifizierung, welche IKT-Dienste kritische oder wichtige Funktionen stützen.
Beratungen in diesem Feld stehen vor der Aufgabe, diese Anforderungen für mehrere Mandanten konsistent, prüfbar und im geforderten Aufsichtsformat abzubilden — eine Facharbeit, die in der Praxis häufig in verstreuten Tabellen entsteht: schwer aktuell zu halten, kaum revisionssicher und mühsam in das Meldeformat der Aufsicht zu überführen. Ein Werkzeug, das diese Methodik abbildet, könnte aus dieser wiederkehrenden Arbeit ein eigenes, wiederverwendbares Produkt machen.
Lösungsansatz
Eine solche Anwendung wäre als mandantenfähige Plattform angelegt, die den DORA-Sorgfaltsprozess durchgängig abbildet — von der Erfassung der IKT-Dienstleister und Verträge über die Klassifizierung kritischer und wichtiger Funktionen bis zum exportfähigen Informationsregister. Ein geführter Workflow würde durch Risikoidentifikation, -bewertung und Maßnahmensteuerung leiten, sodass jede Einstufung am Ende hergeleitet und belegt wäre.
- Geführter Workflow von der Dienstleister- und Vertragserfassung bis zur Risikobewertung
- Klassifizierung der IKT-Dienste danach, ob sie kritische oder wichtige Funktionen stützen
- Informationsregister mit Export in den Aufsichtsvorlagen (ESA-ITS)
- Konzentrationsrisiken und Abhängigkeiten von Dritt- und Sub-Dienstleistern auf einen Blick
- Maßnahmen-Board für Präventions- und Abhilfemaßnahmen mit Rollen, Fristen und Freigaben
- Rollenbasiert und mehrsprachig, mit lückenlosem Audit-Trail und Zwei-Faktor-Authentifizierung
Wie es aussehen könnte
Mockup / Beispieldarstellung — frei erfundene Demodaten, kein reales System oder Produkt.
Was das Tool leisten würde
Angelegt als wiederverwendbares Produkt, könnte ein solches Tool die DORA-Facharbeit über alle Mandanten hinweg auf denselben, nachvollziehbaren Prozess stellen. Statt verstreuter Tabellen entstünde eine strukturierte Datenbasis, aus der sich das Informationsregister und prüffähige Nachweise jederzeit ableiten ließen.
- Würde das Informationsregister jederzeit im geforderten Aufsichtsformat bereitstellen
- Könnte IKT-Risiken und Drittanbieter-Abhängigkeiten über alle Mandanten konsistent abbilden
- Wäre als revisionssichere Grundlage für Audits und Aufsichtsanfragen angelegt
- Würde aus wiederkehrender Beratungsleistung ein skalierbares Produkt unter eigener Marke machen
